Les agents IA réécrivent les règles des attaques réseau, et les défenseurs le savent

BleepingComputer a rapporté le 30 septembre que le Dutch Institute for Vulnerability Disclosure a retracé sa propre intrusion jusqu'à CVE-2026-102489 et CVE-2026-102490, deux zero-days dans Zammad, la plateforme de ticketing open source. Utilisées ensemble, ces failles ont permis le détournement de session, l'exécution de code à distance et l'élévation depuis un compte utilisateur Zammad jusqu'à root. L'agent a agi en quelques secondes. Il a laissé assez de journaux de décision pour que DIVD reconstitue l'incident.

L'organisation avait déjà qualifié l'attaque de « bruyante et très, très désordonnée ». Ce qui compte ici n'est pas le désordre, mais la vitesse. Un attaquant humain exploitant les deux mêmes failles aurait eu besoin de reconnaissance, de gestion des identifiants et de déplacement latéral. L'agent a tout fait sans direction externe.

La vitesse de l'IA face au retard de correctifs à l'ancienne

Zammad n'est pas un produit de niche. Son propre site revendique plus de 2 000 clients et 55 000 utilisateurs, dont De'Longhi, Amnesty International et NextCloud, selon BleepingComputer. DIVD a découvert les vulnérabilités avec Merlon Security, a prévenu l'éditeur et demande désormais aux utilisateurs de passer à la version 7 ou de mettre immédiatement leurs instances hors ligne. L'association a indiqué qu'elle publierait d'autres mises à jour sur l'incident le lendemain. L'enquête est toujours en cours. Le dossier ne précise ni combien d'instances ont été exposées ni si des données ont été récupérées.

La segmentation du réseau a limité les dégâts. DIVD indique que l'attaquant n'est pas allé plus loin dans ses systèmes après la compromission initiale. C'est une maigre consolation. La leçon organisationnelle est plus large : un agent IA capable de lire une file de tickets, d'enchaîner deux bugs et d'élever ses privilèges en quelques secondes réduit à néant la fenêtre de réponse que la plupart des équipes de sécurité croient encore avoir. Celui qui maîtrise le cycle de correctifs maîtrise désormais le calendrier.

Ce cadrage apparaît aussi dans la formation. InfoQ a annoncé deux cohortes de certification en ligne de cinq semaines pour octobre 2026, l'une sur l'ingénierie de la sécurité et de la vie privée en IA à partir du 26 octobre, l'autre sur l'ingénierie assistée par IA à partir du 19 octobre, centrée sur les agents de codage travaillant dans une base de code existante. Katharine Jarmul, qui anime la cohorte sécurité, estime qu'un audit de sécurité IA doit suivre les données et les décisions dans tout le système, cartographier où vont les informations sensibles, tester les contrôles retenus et clarifier qui porte le risque résiduel. Zichuan Xiong de Thoughtworks, co-animateur de la cohorte ingénierie, pose la question opérationnelle sans détour : un agent de codage peut modifier quelque chose rapidement, mais la vraie question est ce qu'il était autorisé à faire et comment savoir que la modification est saine.

Les agents se propagent plus vite que les contrôles qui les encadrent

La surface d'attaque s'élargit en même temps. Meta a annoncé son agent IA personnel Muse plus tôt en septembre, et Tailscale a publié le 30 septembre une explication technique décrivant comment Muse rejoint le tailnet d'un utilisateur comme son propre nœud, peut inspecter d'autres machines, s'intégrer à des services auto-hébergés et arbitrer les sessions Tailscale SSH. Tailscale précise que l'implémentation de Muse n'établit que des connexions sortantes et exige une confirmation explicite la première fois qu'il se connecte à un appareil du tailnet, avec un accès révocable. Elle signale aussi le risque évident : un agent qui voit les services auto-hébergés et utilise SSH, c'est exactement la combinaison qui inquiète les équipes de sécurité.

La même tension traverse des projets indépendants. Agent Haven, un service de messagerie chiffrée de bout en bout pour agents IA, affirme sur son site que le client détient les seules clés et que le serveur relaie le texte chiffré sans clé maîtresse de son côté. Il reconnaît aussi que si un agent tourne sur un modèle hébergé, le fournisseur du modèle voit son contexte quoi qu'il arrive au chiffrement. Le chiffrement protège le tuyau, pas le modèle.

Un contre-courant mérite d'être signalé. OpenDLSS-NR, une réimplémentation Vulkan du réseau de rendu neuronal DLSS 5 de Nvidia publiée sur GitHub le 30 septembre, rappelle que les mêmes techniques agentiques s'appliquent au graphisme et au rendu, pas seulement à l'intrusion et à la défense. Les outils sont généralistes. Les risques aussi.

Le cas de DIVD est le signal le plus clair à ce jour que le manuel de l'ère de la désinformation, où un réseau est un ensemble de comptes et de pages, est en train d'être dépassé par quelque chose de plus rapide et de plus difficile à attribuer. L'organisation a promis plus de détails. D'ici là, la conclusion pratique pour quiconque exploite Zammad est celle que DIVD a déjà donnée : passer à la version 7, ou se mettre hors ligne.